CRACI vs Namespace | GitHub Actions-runners i jämförelse

Det korta svaret

Namespace är utvecklarinfrastruktur: hanterade GitHub Actions-runners, fjärrbyggare för Docker, cachevolymer, Bazel remote execution och molnbaserade utvecklingsmiljöer, allt på hårdvara som Namespace själv driver. CRACI är en GitHub Actions-kompatibel runner byggd kring säkerhet i leveranskedjan. Varje jobb tar fram en SBOM över vad det faktiskt hämtade och körs under en egress-policy.

Båda produkterna kan begränsa vad ett bygge når på nätverket, och Namespaces egress-policyer är väl utformade. Skillnaden är vad mer som händer på runnern: Namespace fokuserar på hastighet, plattformar och cachning, och CRACI registrerar bygget och för den registreringen vidare genom sårbarhetsbevakning och CRA-bevis. Båda ersätter den GitHub-hostade runnern, så du väljer en.

I korthet

Funktion	CRACI	Namespace
Registrering av vad varje jobb hämtade	Paketmedveten proxy registrerar varje jobb
SBOM från bygget	Per jobb, med fullständighetsstatus
Egress-policy på runnern	Förinställningar för paketkällor, valideras före jobbet	Domänregler per runnerprofil
Egress-läge som bara loggar (advisory)		Registrerar beslut utan att blockera
CRA-bevis och rapporter	SBOM:er i CycloneDX eller SPDX, registreringar via API; ingen rapportexport
Runners för Windows och macOS	Bara Linux i dag	Windows från Team-planen
Cachning	GitHub Actions-cache och cachning av containerlager	Cachevolymer, Docker, Bazel, Turborepo
Pris, 2 vCPU Linux	$0.004 per minut (6 GB RAM). ARM64 till samma pris.	$0.002 per minut inom planen, $0.003 utöver den (4 GB RAM).
Mätning	Per sekund, avrundat till närmaste sekund.	Minst en minut, sedan avrundat per minut.
Planer	$0.004 per minut för 2 vCPU, mätt per sekund. Ingen månadsavgift.	Betala per användning; Team $100 per månad; Business $250 per månad.

Ingår
Delvis
Ingår inte
På roadmapen

Vad Namespace gör bra

Webbplatsen för Namespace — namespace.so

Plattformar. Linux på AMD64 (AMD EPYC) och ARM64 (AmpereOne, och Apple Silicon i early access), Windows på AMD EPYC och macOS på Apple M5 Max eller M4 Pro. Windows-runners ingår från Team-planen och uppåt.
Runnerprofiler. Du skapar en profil i instrumentpanelen med ett operativsystem och en maskinstorlek och hänvisar sedan till den i runs-on. Storlekarna går upp till 64 vCPU på Linux, och Namespace säger att supporten kan aktivera upp till 512 GB RAM.
Cachning. Cachevolymer behåller data på lokal lagring mellan körningar, så jobben slipper ladda upp och ner ett cachearkiv varje gång. Namespace erbjuder också cachning av Docker-byggen, Bazel remote cache och execution samt cachar för Turborepo och Gradle.
Egress-policyer. Policyer körs i läget BLOCK, som nekar allt som inte är tillåtet, eller ADVISORY, som registrerar samma beslut utan att blockera så att du kan bygga en tillåtelselista från verklig trafik. Regler matchar domäner, en hanterad regeluppsättning github-actions håller runners igång, och med deep packet inspection kan en policy injicera hemligheter i request-headers eller leda trafik genom en proxy. En instrumentpanel grupperar tillåtna och nekade förfrågningar efter domän, och varje instans har sin egen egress-vy.
Förtroende. Namespace har SOC 2 Type II, med rapporten tillgänglig i sitt Trust Center, och erbjuder datalagring i en exklusiv region på enterprise-planer.

Namespace publicerar kundresultat som att DuckDB kör sin CI "10x faster". Det är Namespaces siffror för de kunderna.

Där CRACI skiljer sig

CRACI behandlar bygget som sanningskällan för vad du levererar.

En registrering av vad bygget hämtade

Medan varje jobb körs registrerar en paketmedveten proxy trafiken till paketkällor: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache räknas ändå. Varje jobbs SBOM, i CycloneDX eller SPDX, har en fullständighetsstatus per jobb och per cache. Namespaces egress-loggar talar om vilka domäner en runner kontaktade. CRACI:s registrering talar om vilka paket och versioner bygget hämtade från dem.

Egress-policy, jämförd rättvist

CRACI:s policyer är neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor, typade egna källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git över HTTPS och SSH, och uttryckliga regler för TLS, TCP, UDP och ICMP. Policyer valideras innan jobbet startar, blockerar vid fel, avvisar okända fält och skickar en varning vid en överträdelse.

Namespace ligger före på två punkter. Dess advisory-läge låter dig observera en policy innan du tillämpar den, och CRACI:s övervakningsläge finns fortfarande på roadmapen. Dess injicering av hemligheter och proxyregler har ingen motsvarighet i CRACI. Där CRACI skiljer sig är att dess källor är typade efter paketekosystem och protokoll i stället för listade som domäner, och att samma jobb som körs under policyn också tar fram registreringen av paketen det hämtade.

Proveniens och bevakning

Proveniensdata. API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens och gör inte anspråk på någon SLSA-nivå.
Bevakning av det som levererats. Bevakade SBOM:er omvärderas löpande mot nya sårbarheter, och fynd sammanställs över byggen och repon.

Pris och storlekar

Namespace debiterar i enhetsminuter, där en enhet är 1 vCPU och 2 GB RAM under en minut på Linux. Per september 2026 kostar en Linux-runner med 2 vCPU och 4 GB $0.002 per minut inom planens minuter och $0.003 per minut utöver dem. Team-planen kostar $100 per månad med 100 000 enhetsminuter, och Business $250 per månad med 250 000. Windows förbrukar minuter i dubbel takt jämfört med Linux och macOS i tiodubbel. Användningen har ett minimum på en minut per jobb och avrundas sedan per minut; i Namespaces exempel debiteras 150 sekunder som 3 minuter.

CRACI debiterar $0.002 per vCPU-minut, så en runner med 2 vCPU och 6 GB RAM kostar $0.004 per minut, med ARM64 till samma pris, mätt per sekund, utan månadsavgift. Namespaces listpris per minut är lägre, med ett minimum på en minut per jobb. Dess standardstorlekar har 2 GB RAM per vCPU och CRACI:s har 3 GB, så matcha den storlek dina byggen behöver innan du jämför. Se CRACI:s priser för aktuella villkor.

Vilken som passar

Namespace passar bättre när

Du behöver runners för macOS eller Windows. CRACI är bara Linux i dag; Windows och macOS finns på roadmapen.
Du vill prova en egress-policy i advisory-läge innan du tillämpar den.
Du är beroende av Bazel remote execution eller cachevolymer.
Du kör också Buildkite-agenter eller molnbaserade utvecklingsmiljöer och vill ha en och samma leverantör.

CRACI passar bättre när

Du behöver visa vad som ingick i en release, med en fullständighetsstatus, från själva bygget.
Du vill ha bevakning av levererade SBOM:er på ett ställe.
Du behöver bevis för Cyber Resilience Act.
Du behöver datalagring i EU, som finns på CRACI:s Enterprise-plan.

För Cyber Resilience Act

Cyber Resilience Act kräver att tillverkare känner till komponenterna i sina produkter, hanterar sårbarheter i dem och sparar bevis. Namespaces produkt är snabb CI och utvecklingsinfrastruktur. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad: SBOM:er från bygget exporterade som CycloneDX eller SPDX, sårbarhetsspårning och proveniens via API:t. Se CRA-bevis.

Byta från Namespace till CRACI

Installera CRACI:s GitHub-app i din organisation, med åtkomst till alla repon eller ett urval, och ändra sedan runner-etiketten på ett jobb:

runs-on: craci

Flytta ett jobb i taget, kontrollera dess SBOM och nätverksspårning och läs mer om CI/CD-integration och SBOM-generering under bygget.